PowerShell批量查询域内主机EnableDCOM注册表项报错求助

原命令存在两个核心错误：

• Get-ADComputer 返回的是活动目录计算机账户对象，不会自动建立到对应远程主机的连接，直接管道传递给Get-ItemProperty时，输出的AD对象会被PowerShell错误绑定到Cmdlet的不匹配参数，触发参数转换报错。
• 本地注册表PS提供程序（对应HKLM:驱动器）本身不支持传入-Credential参数做远程认证，手动传入域管凭据时会触发“提供程序不支持凭据”的报错。Get-ItemProperty默认仅能读取当前会话所在主机的注册表，直接写本地HKLM路径无法读取远程主机的注册表配置。

操作前提：运行命令的账号需拥有目标域机器的本地管理员权限，目标机器需放通对应远程管理端口。

方法1：通过WinRM远程执行（推荐，稳定性最高） #

WinRM是PowerShell原生支持的远程管理协议，所有命令在目标机器本地执行，不会触发注册表提供程序的权限问题。

1. 先拉取域内所有启用的计算机账户列表，避免对已禁用的失效账户发请求：

$computers = Get-ADComputer -Filter {Enabled -eq $true} | Select-Object -ExpandProperty Name

2. 批量查询所有机器的EnableDCOM配置，结果导出为CSV文件方便统计：

# 若当前登录账号无目标机器权限，可追加 -Credential (Get-Credential 你的域管理员账号) 参数
Invoke-Command -ComputerName $computers -ScriptBlock {
    Get-ItemProperty -Path "HKLM:\Software\Microsoft\OLE" -Name "EnableDCOM" | Select-Object PSComputerName, EnableDCOM
} -ErrorAction SilentlyContinue | Export-Csv -Path "C:\Temp\DCOM_status.csv" -NoTypeInformation -Encoding UTF8

3. 确认配置后如需批量禁用DCOM，执行以下命令即可（EnableDCOM值为N代表禁用，Y代表启用）：

Invoke-Command -ComputerName $computers -ScriptBlock {
    Set-ItemProperty -Path "HKLM:\Software\Microsoft\OLE" -Name "EnableDCOM" -Value "N" -Type String
} -ErrorAction SilentlyContinue

方法2：通过远程注册表服务读取（适合WinRM未启用的环境） #

如果环境内未启用WinRM，但目标机器开启了Remote Registry服务、放通了SMB/RPC端口，可以用.NET原生类直接连接远程注册表读取：

$regPath = "Software\Microsoft\OLE"
$regValueName = "EnableDCOM"
$results = @()
$computers = Get-ADComputer -Filter {Enabled -eq $true} | Select-Object -ExpandProperty Name

foreach ($pc in $computers) {
    try {
        $regBase = [Microsoft.Win32.RegistryKey]::OpenRemoteBaseKey('LocalMachine', $pc)
        $regKey = $regBase.OpenSubKey($regPath)
        $value = $regKey.GetValue($regValueName)
        $results += [PSCustomObject]@{
            ComputerName = $pc
            EnableDCOM = $value
            QueryStatus = "成功"
        }
        $regBase.Close()
    }
    catch {
        $results += [PSCustomObject]@{
            ComputerName = $pc
            EnableDCOM = $null
            QueryStatus = "失败：$($_.Exception.Message)"
        }
    }
}

$results | Export-Csv -Path "C:\Temp\DCOM_status_remote_reg.csv" -NoTypeInformation -Encoding UTF8

• 批量操作前先拿单台测试机验证连通性，可执行Invoke-Command -ComputerName 测试机名 -ScriptBlock {hostname}确认WinRM连接正常后再跑全量任务
• 目标机器防火墙需放通对应规则：用WinRM需放开“Windows 远程管理”内置防火墙规则，用远程注册表方法需放开“远程注册表”规则并确保Remote Registry服务处于运行状态
• 禁用DCOM会导致所有依赖DCOM的组件失效，包括部分WMI调用、旧版COM+企业应用、部分微软服务组件，批量修改前必须做小范围验证，避免引发业务故障

内容的提问来源于stack exchange，提问作者Toàn Nguyễn